CN108140270A - 保护以防止未经授权进入燃料气罐的阀门的系统 - Google Patents

Abstract

本发明公开了一种保护以防止未经授权进入燃料气罐的阀门的系统，该系统包括：阀门(14)，该阀门被配置用于能够执行填充所述罐(11)的操作；和阻挡装置(15)，该阻挡装置与所述阀门(14)协作以便阻挡在关闭位置和打开位置之间进入所述阀门(14)；所述阻挡装置(15)通过供应有电能的致动器装置在所述关闭位置和所述打开位置之间被操作，所述系统包括被配置用于控制所述致动器装置的无线终端(12)。根据本发明，所述无线终端(12)包括用于发送充电信号的装置，所述充电信号包括数据信号部分和供电部分，所述供电部分承载经由电磁感应的能量，特别是WPC(无线充电联盟)信号；所述阻挡装置(15)被配置用于从所述充电信号的所述供电部分接收电能以用于操作所述致动器装置；所述阻挡装置(15)还包括控制装置，所述控制装置根据与所述无线终端(12)的对应控制装置交换的所述充电信号的数据信号部分启用所述致动器装置的操作。

Description

保护以防止未经授权进入燃料气罐的阀门的系统

说明书文本

技术领域

本说明书涉及一种提供保护以防止未经授权进入燃料气罐的阀门的系统，该系统包括被配置用于能够执行填充罐的操作的阀门以及与所述阀门协作以将其阻挡在用于关闭进入所述阀门通路的位置和用于打开进入所述阀门通路的位置之间的阻挡装置，所述阻挡装置通过供应有电能的致动器装置在关闭位置和打开位置之间被操作，所述系统包括被配置用于控制所述致动器装置的无线终端。

各种实施方案可应用于提供保护以防止未经授权进入埋地LPG罐的阀门的系统。

背景技术

在用于其各种用途(例如环境加热、食物烹饪或工业和专业用途)的燃料气分配领域中，非常普遍的解决方案是在不可能通过传统的天然气管道到达使用地点的情况下，采取安装适合用户设想的消耗水平的合适尺寸的LPG(液化石油气)罐。根据安装形式可以是地上型或埋地型或地下型的LPG气罐安装在要被供气的用户系统附近的合适位置。

气罐可具有大致在1000升和13000升之间的可变容量，并且通常需要按照与消耗水平相关的一定频率加油。

为此，该罐配有一个进油阀，内部又设有一个合适的止回装置，在正常的操作条件下，该装置可防止罐中的气体排出。只有在使用专门设计的油罐车进行的加油操作期间，进入罐的LPG的压力才能自动打开进油阀，该油罐车配备有泵、流量计、用于输送LPG的软管和被连接到进油阀本身的合适加油填充器。为了防止未经授权人员用气体对罐加油以及其他可能的篡改，进油阀通常由防止进入其中的系统保护，例如防止填充器连接的简单的锁或机械挂锁。

例如从文献No.DE202007008748中已知的是这样的解决方案，其中气罐与具有打开和关闭罐的阀门的电磁致动器的控制模块连接。控制模块通过与控制终端的无线通信可控制阀门的打开。

前述系统需要用于操作控制模块和电磁致动器的特定电源。在潜在的爆炸性环境(ATEX 0)中使用气体诸如LPG的情况下，以及在安装在埋地型罐上的情况下，甚至在潜在地受到洪泛影响的环境中，安装在进油阀上的此电源在有线模式下实现是有问题的，而除了上面提到的条件(ATEX 0)之外，电池的使用呈现出有限的电池寿命和可靠性的已知缺陷。

目的和发明内容

本文所述的实施方案的目的是提高如前所述的根据现有技术的方法的潜力。

由于提供保护以防止未经授权进入燃料气罐的进油阀的系统具有在所附的权利要求中所述的特征，所以各种实施方案实现了该目的。各种实施方案也可涉及对应的方法，所述对应的方法提供保护以防止未经授权进入燃料气罐的阀门，以及进入被设计成在前述系统中操作的阻挡装置。

权利要求形成了本文关于本发明提供的技术教导内容的组成部分。

附图说明

现在将参考附图纯粹以举例的方式描述各种实施方案，其中：

-图1是根据本发明的保护以防止未经授权进入燃料气罐的阀门的系统的示意图；

-图2A至图2C示出了根据本发明的系统的阻挡装置的视图；

-图3示出了根据本发明的系统的阻挡装置的局部剖视图；

-图4示出了框图，其说明了根据本发明的系统的电子模块的功能模块；

-图5示出了根据本发明的系统的通信终端的透视示意图；

-图6示出了流程图，其说明了由根据本发明的系统执行的操作；并且

-图7示出了根据本发明系统的阻挡装置的变型实施方案的局部横截面侧视图。

具体实施方式

在随后的描述中提供了许多具体细节，以便能够最大程度地理解以举例的方式提供的实施方案。实施方案可在具有或不具有特定细节的情况下实施，或者与其他方法、部件、材料等一起实施。在其他情况下，未详细示出或描述熟知的结构、材料或操作，以使得实施方案的各方面将不被模糊。在本说明书的过程中，对“实施方案”或“一个实施方案”的提及意味着结合该实施方案描述的特定结构、特性或特征被包括在至少一个实施方案中。因此，可在本说明书的过程中的各个时间点处出现的短语诸如“在实施方案中”或“在一个实施方案中”不一定指代同一个实施方案。此外，特定结构、特性或特征可以任何方便的方式组合在一个或多个实施方案中。

此处提供的参考仅仅是为了方便读者，并没有限定实施方案的范围或含义。

图1中示出了根据本发明的系统10，其提供保护以防止未经授权进入气罐的阀门。

由参考标号11表示的是运送气体尤其是LPG的油罐车。

由参考标号13表示的是气罐，其包括与阻挡装置15连接的进油阀14。

由参考标号12表示的是通信终端，其主要包括处理器并且包括通信装置，该通信装置被设计成通过第一无线通信信道80与阻挡装置15通信，该阻挡装置如下所示又包括收发器装置。第一无线通信信道80是WPC(无线充电联盟)充电信号在其上交换的信道。此外，通信终端12包括通信装置，该通信装置被设计为通过第二通信信道90(例如蓝牙信道)与连接到油罐车11的通信装置11a通信。

图2A示出了从阻挡装置15的下方观察的透视图，而图2B示出了阻挡装置15的侧视图，并且图2C示出了从上方观察的透视图。

图3示出了阻挡装置15的横截面。

从上面的图2A至图2C和图3可以看出，阻挡装置15以何种方式主要包括具有大致长方形形状的主体151，该主体包括致动器容纳部分152和阻挡部分153，在该阻挡部分下方具有盲孔154，阀门14的顶部入口部分141插入该盲孔中。前述顶部入口部分141包括螺纹端部，该螺纹端部紧固在油罐车11的加油填充器(图中未示出)上。阀门14的另一端部142以流体密封的方式插入气罐13中(在图3中不可见)。

阻挡装置15在阻挡部分153的顶表面中包括被封装在树脂中的控制卡30。控制卡30中包括电子控制模块70，并且还包括用于检测阀门14的位置的传感器31。由32表示的是设置在盲孔154底部处的阀门保护帽，其保护阀门14的端部142。

在致动器容纳部152中设置有机电型的致动器20，该致动器在与阀门14的纵轴正交(在图中为垂直)的方向上移动阻挡销21。在主体151中以流体密封的方式滑动的阻挡销21在需要阻挡阀门14时由致动器20沿水平方向朝向阀门14操作，以便在开闭元件14的螺纹端部141下方接合凹槽并且将阻挡装置15阻挡在阀门14上，从而防止进入端部141并进而防止将填充器插入阀门14上的可能性，因而防止不能移除阻挡装置15的未经授权的工作人员有可能对气罐加油。

根据阀门的类型，机械阻挡系统可以是：

·直接类型，因此直接作用于阀体，典型地通过销21(如图3的示例)或阻挡齿；

·间接类型，作用于第二机械设备，通常是阻挡销，使得操作者必须手动抽出或插入以将阻挡装置15释放/阻挡。

在阻挡装置15内的致动器容纳室152(其中安装了具有阻挡销21的致动器20)具有朝向外部的开口16(在图2A中可见)，以实现部件诸如致动器20的安装。然后用环氧树脂密封开口16。为了增强保护以防盗，开口16面朝下以使安装在罐13上的阻挡装置15不能进入。

阻挡装置15包括主体151，该主体基本上是由铝制成的金属盖，或者在任何情况下由任何其他高强度抗静电材料制成的金属盖，该金属盖可被施加在阀门14上而装载罐13以防止进入罐中。

在致动器20的电磁体的作用停止之后，阻挡销21机械地保持假定的位置，而不需要另外的能量(并因此无需与终端12接触)，从而实现自动双稳态操作。或者，阀门上的阻挡装置15可通过可以手动插入的销获得，该销又通过由致动器20的电磁体控制的销21阻挡在适当位置，从而获得手动双稳态操作。通过阻挡装置15内的电子传感器20a检查阻挡销(抽出/回缩)的位置。此外，再次通过阻挡装置15内的电子传感器31，可以验证在释放销21时阻挡装置15是否位于阀门上。通过上述数据的交叉比较，可以验证释放操作，确认它是否已被执行用于停用或激活阻挡装置15，或者它是否已经用空罐执行以用于测试目的或企图篡改。

阻挡装置15的操作所需的能量仅由终端12经由电感耦合来供应，该电感耦合通过实施用于无线再充电的QI-WPC标准获得。因此，阻挡装置15在没有由终端12激励的情况下完全停用并且没有能量。以这种方式，有利地不需要定期维护；此外，阻挡装置15的整个电子零件可通过被封装在树脂中而被密封，使其能够在ATEX-0环境中操作。

图4示出了表示系统10的功能信号和供电模块及其操作的框图。

在图4中，深色粗箭头表示再充电信号R，较浅的粗箭头表示供电信号W，较细的箭头表示数据信号D。这些信号将在下文参考图4更全面地描述。

阻挡装置15包括设置在卡30中的电子模块70，其包括WPC(无线充电联盟)充电信号的收发器71。前述收发器71主要与对应的收发器65一起提供图1的第二通信信道80。阻挡装置15通过收发器71接收激活和操作所需的能量。此外，经由WPC充电信号的收发器71，阻挡装置15能够在第一信道80上建立双向链路，以与包括在终端12中的控制模块60进行数据交换。WPC信号实际上包括双向数据链路D和承载经由电磁感应发射的能量的供电部分W，其由WD表示为整体并在图4中示出，并且从控制模块60中的收发器65传输到模块70中的收发器71。

在收发器WPC之间交换的数据信号D包括关于以下内容的信息：

控制器60的授权的密码检查以控制致动器20(如在下文中进一步描述的，在从终端12向阻挡装置15发送加密密钥K之后)；以及

阀门阻挡装置的位置和状态(阻挡、释放、故障状况等)。

控制模块71将接收到的能量发送到供电单元72，该供电单元将接收到的能量管理并转换用于：

经由滤波器和电压转换器供给阻挡装置15的电子器件；

经由电压转换器和用于补偿瞬变的能量存储装置供给机电阻挡致动器20。

此外，加密单元76被示出为与模块71有信号关系，即与数据D的交换有关，该单元负责对终端12的控制模块60的授权进行密码检查以控制阻挡装置15。如果该检查得到肯定结果，则加密单元76启用切换单元73以允许激活致动器20，该致动器执行对阀门14的阻挡。因此，阻挡装置15只有在控制器60通过了密码检查之后才接受并执行控制器所请求的命令。

上述切换单元73包括通过PWM(脉宽调制)或开/关信号管理机电阻挡致动器20的固态装置。切换单元73通过控制模块71接收由控制模块60经由数据D发出的命令，但是仅在从加密单元76以及从位置确认单元74接收同意之后才执行它。切换单元73还基于它从位置确认单元74接收到的位置反馈来管理致动器20的运动。

致动器20是移动机械阻挡系统的机电致动器，阻挡装置通过该机械阻挡系统被阻挡在阀门14上或被释放并移除。根据阀门的类型，致动器20可以是简单的螺线管(开/关控制)，或者也可以是由单元73以PWM控制的电动马达。

控制模块70还包括阀位传感器31，该阀位传感器是能够检测阻挡装置15是否位于阀门上的感应(或电容)类型的传感器。只有在这种情况下才有可能操作阻挡装置15，这是为了防止误报，例如在阻挡装置15被阻挡但未被有效地装配在阀门14上的情况下：罐13似乎受到保护，但实际上并非如此。

控制模块70还包括阻挡位置传感器20a，即感应(或电容或磁铁)类型的传感器，其能够读取由致动器20执行的机械阻挡的位置。

位置检测单元74是负责位置传感器31和20a的管理和读取的单元，并且仅在阻挡装置15位于阀门14(传感器31)上并且阻挡命令(传感器20a)尚未被执行时才发出用于致动切换单元73的同意。位置检测单元74处于与反馈单元75的双向数据信号交换的关系，该反馈单元是从前述单元74接收关于阻挡装置的状态的数据、处理数据并且经由WPC收发器71将数据传输到终端12的控制模块60的单元。

图4表示在阻挡装置15的硬件中实现的模块70的功能模块，其包括例如微处理器，该微处理器优选地实施关于加密单元76和/或切换单元73和/或反馈单元75的操作。电子模块70优选地还包括用于存储加密密钥K和用于授权终端12的最新数值的永久性存储器模块。此外，除了用于阀门的接近度检测的电子传感器31和用于检测阻挡销的位置的电子传感器20a之外，硬件级别的阻挡装置15还优选地包括用于唯一地识别每个阻挡装置15的UID(电子序列号)模块、温度传感器和致动器20。

再次参考图4，终端12的控制模块60又包括以下功能模块。

首先，控制模块60包括具有WPC标准的上述充电收发器65，控制模块60通过该充电收发器向阻挡装置15供应激活和操作所需的能量。使用相同的WPC充电收发器65，控制模块60能够建立用于与阻挡装置15交换数据D的双向链路。

然后控制模块60还包括相应的切换单元64，该切换单元是负责当操作员通过作用于终端12上请求阻挡装置15的阻挡/释放时，用电池能量激活WPC充电收发器65的单元。

初始需要相同的能量以通过阻挡装置15激活对控制模块60执行释放的授权的密码检查。

就这一点而言，控制模块60包括相应的加密单元67，该加密单元是负责在由阻挡装置15请求验证控制器60的授权之后，对该阻挡装置的响应的密码处理的单元。只有当阻挡装置15经由其自身的加密单元76接受并验证该响应时，才能执行操作者经由终端12向相应控制模块60请求的阻挡/释放命令。

控制模块60还包括反馈模块66，该反馈模块包括反馈单元66a，该反馈单元负责从阻挡装置15和控制模块60本身接收状态信息。然后处理该信息并将其传递给前述反馈模块66中的数据传输单元66b，该数据传输单元被配置用于管理与例如供气公司所拥有的远程服务器19(图1中所示)通过MQTT协议的自定义实现的数据通信。

与远程服务器19的通信发生在第三通信信道100(例如，3G移动通信网络)上，并且是双向的：

单元66b经由无线调制解调器66C向远程服务器19传输，该无线调制解调器被设计成通过第三通信信道100传输关于阻挡装置15上的任何阻挡/释放操作的所有信息；如果信道100上的3G链路当前不可用，则信息被存储在控制器60中，直到链路再次建立；并且

单元66b周期性地从远程服务器19接收关于控制器60的授权的信息，即加密密钥K，以及与阻挡装置15对应的密码验证。

在盗用或不正确使用的情况下，远程服务器19还可以通过通信信道100永久性地禁用控制器60。

此外，在控制模块60中示出了与加密单元67具有信号交换关系的用户界面单元68，该用户界面单元被配置用于通过显示在用户终端12的显示器121上的图形来管理控制模块60的用户界面，如图5所示，并且用于管理从前述显示器121上的触摸屏以及从键盘122接收的用户命令。显示器121例如是用于确认和状态消息的防水字母数字显示器，而键盘122是防水薄膜键盘，用于激活功能、输入操作员代码和初始配置。在变型实施方案中，显示器121可以是图形的，特别是触摸屏类型的，并且用于操作员代码，而键盘限于主要功能。更一般来说，操作员代码通过由触摸屏和键盘组成的整体输入。

相反，由69表示的是包括显示器121和键盘122的模块，其构成终端12中的控制器60的有效用户界面，并且包括还参考图5的如已经提到的触摸屏和薄膜键盘，其集成在容器壳体124中，而不损害其流体密封性和抗静电性。

由63表示的是控制模块60内部的电池，例如锂离子型电池，其可再充电并完全封装在足以用于ATEX-0环境的保护性树脂(EX-MA)中。由62表示的是对应的电池充电器模块，其被配置用于管理控制器60的内部电池63的再充电，控制其电压和电流。前述电池充电器模块62由WPC接收器61的输出直接供电，该WPC接收器被配置用于与外部电池充电器50相互作用。

前述外部电池充电器50是与终端12分离的模块，该模块又包括用于发送再充电信号R(类似于充电信号WD)的WPC发射器51。电池充电器50被配置成当终端12置于其上时被自动激活。因此，WPC发射器优选地容纳在小尺寸的外部电池充电器50的塑料容器中，以放置在终端12上直到充电完成。外部电池充电器50可配备有用于在对应再充电区域上居中的磁系统，该对应再充电区域在终端12上对应于收发器61。电池充电器50还包括例如用于来自电力干线的5-V/5-W电源或用于12/24-V电源的USB插口(例如，在油罐车11上可提供)，以及具有用于再充电模块的USB连接器的230-V电源，以用于从电力干线再充电。由于经由电池充电器50进行无线再充电，有利地，终端12不需要朝向外部的连接器，并且因此所有的内部电子器件可以被封装在树脂(保护性EX-MA)中，以便实现其在ATEX-0环境中的使用。

因此，基于迄今为止描述的内容，用于经由接入系统10进入燃料气罐的阀门的方法包括以下操作：将终端12施加成与阻挡装置15接触，向前述阻挡装置15供应充电信号WD，该信号包括供电部分W，并且经由数据信号部分D与前述阻挡装置15交换命令序列，该序列包括用于阻挡或释放前述阻挡装置15的命令。

现在参考图6的流程图，接着描述经由终端12的控制模块60与阻挡装置15的电子模块70之间的相互作用，通过终端12执行的进入阀门15的授权过程200。

首先，设想子过程200的步骤(210-230)，用于保护启动终端12，以执行阻挡或释放阀门的操作(即，通过销21的运动来阻挡或释放)，该子过程包括：

通过在终端12中输入有效的激活码A，在终端12中激活210阀门的阻挡/释放操作或模式；

执行220用于确认油罐车11的存在的可选步骤；以及

在步骤210或可选步骤220之后，终端12进入230阻挡装置15的阻挡/释放的模式；此模式在足以进行气体加注的给定长度时间内保持有效。

更详细地，关于步骤210-230，操作员随后可以激活终端12以执行释放操作，即，与阻挡装置15相互作用以使其能够被移除并由此进入阀门14的操作：

-释放激活的步骤210设想由操作员输入有效的激活码A；为了使该激活码A有效，它必须与从公司服务器19下载并在配置步骤(由密码保护)中存储在终端12上的多个码中的一个相同；通过这种方式检查操作员的身份；

-执行确认油罐车11的存在这一步骤的步骤220设想仅在从已经作为油罐车11的驾驶室中的标准设备安装的蓝牙单元11a接收到有效的油罐车识别码B时才由终端12接受由操作员输入的激活码：蓝牙单元11a提供安全标识符，该安全标识符事先商定并且必须优选地在已经安装于油罐车11中的控制模块中实施；该油罐车控制模块是由操作员用于打印送货单并将燃油输送数据传输给公司服务器19的模块；在变型实施方案中，蓝牙单元11a可以是专门安装在油罐车11上用于识别的蓝牙模块；以这种方式，终端12可被激活用于仅在被授权的油罐车上或者在其附近执行释放操作；如果每个油罐车11可以通过蓝牙11a提供唯一的标识符B，那么将有可能将每个终端12与一个或多个预定义的油罐车11组合；确认油罐车的存在的这个步骤通常是可选的，或者对于授权用户(负责协助或安全的人员)可实现在事先输入明确提供的绕过代码之后绕过蓝牙确认的可能性：以这种方式，即使在没有油罐车11的情况下也可以在释放模式下激活终端12；

-终端12进入230释放/阻挡模式，其中可以控制装置15的释放或阻挡的操作，从而能够进入阀门14，这使得终端12在释放模式下保持激活一段有限的时间，因而足以完成气体加注的操作；在前述给定时间到期时，终端12自动从释放/阻挡模式退出(并因此不能再作用于阻挡装置15上)；为了重新激活该模式，操作员必须重新进入油罐车11的通信信道90(蓝牙)的范围内。

在终端12进入阻挡/释放模式230之后，在步骤240中，操作员然后可以经由终端12通过WPC信号WD的数据部分D中的信道80将释放或阻挡命令SB发送到阻挡装置15。

当在步骤250中，阻挡装置15在数据D中检测到由终端12的控制器60发送的释放/阻挡命令SB时，在执行该命令之前，通过以下过程进行确认终端12的授权的步骤260：

-在步骤262中，阻挡装置15经由存储在固件中(即，在模块70中，特别是在阻挡装置15本身的加密单元73中)的数字密钥，向终端12发送具有AES(高级加密标准)类型或某种其他高级标准密码保护诸如SHA-256(安全散列算法)的编码的加密密钥K的值，特别是256位长的值；存储在各种阻挡装置15中的密钥列表构成了机密信息，该机密信息将被保护和存储在例如公司服务器19中，并且只有为了安全而指定的人员才有权访问；128位加密密钥K的值是由阻挡装置15每次随机生成的数字，因此在每个新命令中总是不同的；此外，阻挡装置15检查到它总是与最后生成的值不同；

-此外，在下一个步骤264中，阻挡装置15以明文CK发送数值，该数值标识所使用的密钥的类型；这使得可以在具有存储在其固件中的不同密钥的装置15上使用同一个终端12进行操作；阻挡装置15的密钥K被存储在生产阶段中并且在阻挡装置15被密封之后不能再以任何方式改变；

-在步骤266中，终端12对接收到的密钥K的值进行解码，并且响应于阻挡装置15将其作为解码密钥KD发送：只有当终端12知道存储在阻挡装置15中的解码密钥时，返回值KD才是正确的。

终端12根据由阻挡装置15声明的类型CK，从由公司服务器19不断远程更新的内部列表中选择要应用的解码密钥。以这种方式，每个授权终端12能够对任何阻挡装置15操作。阻挡装置15只有在步骤266中接收到正确解码的解码密钥KD的值时才在步骤270中接受并执行阻挡/释放命令。

存储在阻挡装置15和终端12的微处理器中的固件受到保护而免于被读取和解码。以这种方式，即使非授权人员进入对阻挡装置15或终端12的占有并且设法将其分开而不损坏它(微处理器被封装在环氧树脂中)，也不可能读取固件、程序和其中包含的加密密钥。

在过程200的框架中，终端12还实施保护以防止可能占有已通过有效激活码A启用的终端12的非授权人员使用。终端12基于其自身的内时钟(例如通过互联网经由信道100，例如经由3G移动通信网络，在每天结束时，例如在23.30自主同步)，紧接着自动关闭不可逆地擦除存储的所有加密密钥，从而变成不能用于打开阻挡装置15。终端12从公司服务器19下载，并且只有在它已经被重新接通之后并且在操作员使用有效的激活码启用之后才再次存储加密密钥。这意味着输入操作员代码(通常在每天开始时进行的操作)必须在3G/GPRS覆盖范围内由终端12进行。以这种方式，即使终端12在操作员用自己的激活码激活之后被窃取，它也将直到一天结束时才能够释放一个或多个装置15，然后立即变得不可用。

因此，阻挡装置15可以在事先正确激活之后，此时终端12位于阻挡装置15自身的表面上，仅通过使用终端12而被插入阀门14中或从阀门中移除。非授权人员不允许通过电子加密进行此操作：因此不需要物理密钥。

在每个释放操作270结束时，阻挡装置15经由收发器71向终端12传输状态信息，该状态信息包括：

-阻挡销21的位置(抽出/回缩)；

-阻挡装置15位于阀门上(是/否)；

-温度；

-UID号(唯一序列号，识别每个阻挡装置15)；以及

-从进入系统的服务起，在阻挡装置15上执行的打开和关闭次数的计数。

如参考图6所示，终端12经由其自身的控制模块60被配置用于仅在验证操作员代码(步骤210)以及油罐车存在的可能性(步骤220)之后才执行激活阻挡装置15的阻挡/释放的操作。

此外，终端12被配置用于在事先认证之后通过接触式无线连接(用于电源和数据交换)执行阻挡装置15的这种释放操作。

此外，终端12被配置用于执行通过反馈单元75和WPC收发器71传送的由阻挡装置15的传感器提供的数据(可能包括温度)的读取和存储。

因此，终端12被配置用于基于前述传感器数据(阀门上的阻挡装置15、阻挡销的位置)来执行对阻挡装置15的释放操作的验证。

此外，终端12被配置用于经由包括在终端12中但未在图中示出的GPS模块执行释放操作的地理定位。

此外，终端12被配置用于经由照相机和结合的闪光灯执行图像采集，并且在远程公司服务器19上自动传输图像(例如，经由FTP)。

此外，终端12被配置用于经由释放操作的数据的受保护的3G/GPRS连接(HTTPS)来执行到公司服务器19的实时传输。在没有网络覆盖的情况下，终端12还被配置用于执行释放操作的数据的内部存储，然后当网络覆盖恢复时将其下载到公司服务器19上。

此外，终端12被配置用于经由受保护的3G/GPRS连接(HTTPS)来执行来自公司服务器19的配置参数(操作员代码、电子密钥等)的更新。

此外，终端12被配置用于在失窃或违规的情况下经由受保护的3G/GPRS连接(HTTPS)从公司服务器19接收到命令时，执行所有功能的停用以及内部存储器的擦除。

此外，终端12被配置用于在结合的显示器121上向操作员执行状态和确认消息的显示。

此外，终端12被配置用于当终端12与外部WPC电池充电器50连接时，管理经由电池充电器62对内部电池63的自动无线再充电。

在图5中所示的终端12的壳体124优选是防水的，经认证为ATEX 1-2，由防静电的塑料材料(电阻<10⁹Ω)制成以防止形成静电，从而消除产生火花的可能性。除了人体工程学形状之外，终端12优选地具有足以容纳显示器121、键盘122和WPC线圈(用于为无线模块61再充电并且控制阻挡装置15)的有用表面。

在终端12的壳体内部，所有不能被视为本安型的电路，诸如主板、电池或其他部件，被封装在终端12的壳体124的下半壳中的环氧树脂中，因此该终端也能够在ATEX-0环境下操作。终端12优选地不具有任何类型的连接器，以便不限制在ATEX-0条件下的使用。实际上，与操作员的交互是经由所结合的键盘122和显示器121发生的，而与阻挡装置15、油罐车11的控制单元以及公司服务器19的数据连接D全部通过无线信道来获得，并且电池再充电是以无线方式执行。

如已经说过的那样，终端12还被配置用于经由照相机执行图像采集。前述照相机优选地是带有LED闪光灯的数字照相机，以使操作员能够记录任何可能的在罐和相应附件(阀门等)上检测到的篡改的企图。随后，图像将在一天结束时经由3G连接自动传输到公司服务器19上。为了与照相机一起使用，显示器121优选地为TFT图形类型，以便也作为照相机的取景器和作为用于观看照片的显示器来操作。终端12的微处理器和存储器在计算能力和容量方面的大小也是足够用于进行图形管理以及用于存储足够数量的照片的。键盘121可以配置有适于使操作者能够执行所设想的相机基本功能(拍照、显示图像等)的按键。为了能够存储用于这些功能的命令，可以使用为其他功能设想的实现双重功能的相同按键，或者使用触摸屏。除了为其他功能实现的实时MQTT通信之外，终端12可以包括用于经由FTP将图像延迟传输到公司服务器上的固件模块。

概括地说，在一种可能的配置中，终端12包括以下硬件部件：

薄膜键盘122，用于与操作员进行本地通信；

图形显示器121，用于实现与操作者的本地通信并使用可能包含的数字照相机；

微处理器，用于实现参考图4描述的控制器60的全部或部分功能；

GPS模块，用于获得操作的地理位置；

带闪光灯的数字照相机模块，用于图像采集；

蓝牙模块，用于通过通信信道90与油罐车11的控制单元通信；

具有SIM的3G-GPRS模块，用于通过信道100与公司服务器19进行数据通信；

与阻挡装置15的无线供电和通信模块，包括WPC收发器65；

UID(电子序列号)模块，用于唯一地识别每个终端12；

永久性存储器模块，用于存储可本地访问和从公司服务器访问的操作和配置参数；

用于提供日期和时间的RTC(实时时钟)模块，其在信道100上通过互联网自动同步；

内部供电模块，其包括电池63例如可再充电锂电池、无线再充电单元(模块61)、用于以百分比形式显示电池充电状态的计数器。

所有释放/阻挡操作270和相应数据(日期、时间、验证、操作员代码、地理位置等)经由3G/GPRS连接从终端12实时传输到公司服务器19。

与公司服务器19的连接受到保护(HTTPS协议)并且根据MQTT协议获得，用于将发送的数据量减少到最小，并且使得即使在非最佳网络覆盖(GPRS)条件下也能够传输数据。因此，安装在公司服务器19中的是作为MQTT服务器运行的程序。

经由集成在终端12中的数字照相机，操作员将能够记录加油时或在其他检查场合发现的对油罐及相应设备(安全阀等)的任何可能的篡改。所拍摄的照片将由终端12在本地存储，如果提供了网络覆盖(3G)的最佳条件，则终端将在一天结束时将照片传输到公司服务器上，然后自动关闭；否则，传输将推迟到3G连接再次可用的时刻。

由于图像的文件比释放操作的描述性字符串重要得多，因此经由在公司服务器19上可用的FTP传输到服务器19上，该FTP作为由访问代码保护的机密FTP访问。这些图像附带有将它们与特定罐13相关联所必需的信息以及它们已被拍摄时的加油操作，即例如：

GPS地理位置；

日期和时间；和

操作员代码。

下文更详细地说明阻挡装置15的一些方面。

图7示出了阻挡装置15的一个变型实施方案的类似于图3的侧视图，其中电子卡30位于形成完全填充有树脂的腔室的电子壳体161中。电子壳体的腔室161仅通过中空通道161’与致动器壳体152连通，然而该中空通道也被填充电子壳体161的树脂密封。

在该变型实施方案中，部分152的腔室162容纳致动器20，该致动器致动销21。致动器20位于盒状容器20’中。换句话讲，在这种情况下，与图3的实施方案相比，没有向下敞开的腔室，整个致动器20嵌入树脂中以获得防水性，而是有封闭的腔室，即腔室162，其中设置了致动器20的容器20’，而该腔室不填充树脂。然而，根据特定设计，腔室的体积减小到最小，从而保持低于ATEX-0标准针对非包封空腔所规定的最大限度。

该解决方案特别适用于致动器20是直流电动马达类型的情况，而致动器嵌入树脂中的实施方案更适合于电磁螺线管致动器。

致动器容纳部分152的腔室162然后还相对于外部完全密封，只要沿着整个对比轮廓施加例如由氰基丙烯酸酯密封粘合剂制成的气密密封163，在该对比轮廓处，致动器20的容器20’支承在电子壳体161的由致动器本身封闭的腔室162上。

沿着水平对比轮廓BO，其中上述容器20’支承在腔室162上，用于将致动器20紧固到部分152的螺钉通过压力作用在该腔室上(未示出)，没有设想间隙，而是仅设想了加工公差，例如0.05mm。通过这种方式，密封在螺钉的压力下将填充表面之间的任何空间或不规则。沿着不能利用螺钉施加压力的垂直对比表面，在表面之间提供了0.1mm的间隙。通过这种方式，密封剂163(根据规格，确保在高达0.25mm的间隙上的密封性)形成弹性珠粒，其不仅保证了密封性，而且还保证了持久粘合。

由机电致动器20操作的阻挡销21在主体151中形成的空腔164中滑动。空腔164由自润滑材料所制成的衬套165覆盖，其允许衬套的内壁和销21的表面之间的最大间隙(特别是0.083m)足以满足针对滑动销的ATEX-0规格(0.3mm-防火防护-IEC 60079-1的表2)。

然而，为了最大化ATEX防护并确保阻挡装置15的水下密封性，还设想了对滑动销21的密封，该密封利用位于销21与滑动空腔251之间、在衬套之后且朝向外部的双唇密封件165获得。

强调上述双唇密封件165(即使在可商购获得的情况下)如何在形状和尺寸方面被专门配置的空腔中操作，以确定该密封件的密封度达到0.1巴，因此在设计规格内，而不会使致动器20在销21的运动期间过载。

密封解决方案也应用于通信终端12，这些解决方案可以具有两种配置：

集成式，因此被配置为集成了阻挡装置15的控制和无线供电、与远程服务器19的通信以及操作员接口的所有功能的掌上设备；和

分离式，该配置下的终端12基本上是与以待置于装置15上的控制模块60对应的模块，并且配备有用于与ATEX-1智能电话通信的无线收发器，特别是蓝牙收发器。

在这种情况下，终端12仅实现装置15的控制和无线供电功能，以及与智能电话进行蓝牙通信的功能。智能电话(可能只有ATEX-1级别，假定它不必插入罐底部中)经由蓝牙与控制模块60通信，并实现与远程服务器19以及与操作员界面通信的功能。

在这两种配置中，终端12仅经由在本安型电压(例如，5V)下操作的电子设备(即，例如非机电装置)来配备。因此它通过被完全封装在环氧树脂中(ATEX标准中的“封装型”保护)而密封。

封装意味着终端12能够执行其所有功能而不需要任何物理连接，无论该连接是用于数据还是用于对内部电池再充电(其也经由WPC信号在无线模式下执行)。

在另一个变型实施方案中，阻挡装置15将致动器20实施为具有针对销21的运动的位置反馈的伺服马达。

上述解决方案还有一个优点，就是还可以管理销21的运动的轮廓。

当销周围可能存在干泥浆层时，如果罐13的底部(这里通常存在阀门14和其他致动器)长时间被泥水淹没，则淤泥可能会阻碍销21的运动。因此设想，阻挡装置15可以被控制用于经由伺服马达的对应PWM(脉宽调制)驱动来执行销21的特定运动轮廓，使得致动器20对销施加振动运动，然后传递到阻挡位置或释放位置。上述轮廓可以例如对应于在5Hz的频率以1mm的行程来控制销21的往复运动。这种振动运动能够摆脱泥浆产生的限制，尽管它仍然处于伺服马达可以施加的最大力之内。一旦该限制被移除，销21就可以正常执行设想用于阻挡/释放的完整行程。

此外，在变型实施方案中，设想使用传感器来检测致动器20的伺服马达所吸收的电流，从而检测销21的滑动或堵塞异常(其自动反映伺服马达负载的变化并因此反映由此吸收的电流)。

为每个运动吸收的电流的值被实时传送到中央服务器19，在该中央服务器中用于预防性维护阻挡装置15。根据先前已经指出的内容，经由阻挡装置15内的电子传感器31，可以确认在释放销21时阻挡装置15是否位于阀门上。通过这些数据的交叉比较，可以验证释放操作，确认它是否已被执行用于停用或激活阻挡装置15，或者是否已经用空罐执行以用于测试目的或企图篡改。

在变型实施方案中，设想使得阻挡装置15能够识别其上安装有该阻挡装置的罐13的特定阀门并且进入要保护其加油的地方。这个目标是通过将RFID(射频识别)标签结合在带有唯一标识号(UID)的罐的阀门中来实现的。

阻挡装置15被配置用于仅在以下情况下接受阻挡或释放命令：经由其自身的RFID读取器来设法读取RFID标签且因此定位在罐阀门上，并且如果该唯一标识号(UID)对应于记录在其自身存储器中的某个标识符，这指示了阻挡装置15位于其自身特定罐13上的事实。

通过这种方式，如果阻挡装置15位于与其所联接的罐不同的罐13上，则该阻挡装置不接受阻挡/释放命令。

这样，就无法通过在阻挡装置15中插入与罐分离的阀门或配备有RFID标签或另一标签的阀门来欺骗系统。实际上，RFID标签的标识号(UID)是唯一的，因此无法复制特定罐13的标签。

设想RFID标签也将用于检测位置；即装置15只有在它完全安装并向下按压在阀门14上时才接受命令，以便防止系统仅仅由于将阻挡装置15放置在阀门上但低于RFID系统的最大读取距离而被误导。

因此，阻挡装置15中的RFID标签读取器的检测距离必须被校准到最小值，使得只有当RFID读取器设备的天线面朝标签并且因此阻挡装置15被有效地插入在阀门14上时，才会读取标签。

使用本文描述的RFID系统还确保了一个另外的优点，即可以用唯一标识号(UID)标记安装有阻挡装置15的所有罐，从而实现对罐的控制和管理的进一步操作。

如上所述，RFID检测系统优选地代替感应型的接近传感器31。优选地，根据NFC标准(ISO 14443)实施该标准，与UHF系统不同，该标准提供了以高频(HF)操作的优点，并且因此对电磁干扰和由周围金属引起的信号吸收较不敏感。此外，这是一种更为广泛的标准，可以从大量不同类型的RFID标签中进行选择。

在图7中，以举例的方式，示出了NFC RFID读取器131，其插入阻挡装置15的电子卡30中，如上所述，该读取器经由WPC信号从外部供电。读取器131的操作所需的能量在任何情况下均低于由阻挡装置15的无线供电系统供应的能量，并且通常其使用不一定要与阻挡装置15的致动器20的使用同时进行。

RFID读取器131经由微型同轴电缆131a连接到布置在PCB上的RFID线圈天线132。根据所使用的RFID标签的类型，天线132的尺寸被设计成优化用于与周围金属一起操作的读取距离(最小距离)和位置检测。PCB被容纳在一个塑料容器中，该容器在天线一侧打开，并填充有密封环氧树脂。由此出来的天线和同轴电缆因此是防水的并且可以在阻挡装置15中的视野范围内安装，即没有任何安全壳体。

RFID天线132通过粘合剂优选安装在阻挡部分152底部部分的空腔中，其位置对应于即在六角形卡圈134的高度，该卡圈设置在阀门14的端部142上方并且在销21所接合的凹槽下方，以流体密封方式插入气罐13中，使得天线132将面向与阻挡销21相对的侧面上的阀门14。上述金属六角形卡圈134通常存在于阀门14中以用于夹持目的；实际上，它在图3中也是可见的。

同轴电缆131a从例如以腔室161的形式的卡30的壳体出来，通过通孔(即图7中未示出的通路孔)，然后利用密封腔室161的树脂或者在嵌入电子卡30的任何情况下封闭该通路孔。

设想优选地安装由塑料材料制成的卡圈135，以永久方式安装在已经安装的两个罐以及新罐上的每个进油阀14上。卡圈135包含RFID标签133，该标签嵌入并用树脂密封在卡圈135本身的空腔中，同时保证与RFID天线有足够的读取距离。

由塑料材料而不是由金属制成的卡圈不会干扰读取器读取RFID标签133。此外，它再次将RFID标签133设置成与阀门14的金属分开几毫米，以再次使RFID读取器131能够读取。

卡圈135具有基本上塑料材料环的形状。它优选地被配置成以独特方式插入阻挡装置15中，以便总是将RFID标签呈现在RFID天线的前面：在卡圈135的环中，可以存在不对称(整流部分)或者与阻挡装置15的内部形成对比。卡圈125优选地经由在卡圈的内圆周周围获得的滚花联接装配在阀门14的六边形卡圈134周围：以这种方式，卡圈135(以及因此承载在其上的阻挡装置15)可以在水平面上以任何角度被安装在罐14上，以适应已经存在的附件的总体尺寸。一旦在安装步骤中确定了装置15的最佳位置，则卡圈135与触变(高密度)环氧树脂永久地粘合。从那时起，可以经由遥控器12并且经由具有NFC或单独的RFID读取器的智能电话，以独特的方式识别阀门14和安装有阀门的罐13。

设想执行对阀门14的UID代码的读取以确认位置，并且对联接到阻挡装置15的特定阀门的识别(以永久方式存储其UID代码)是待确认的条件以使装置15接受来自终端12的阻挡或释放命令。

对于初始安装，将在终端12中执行第一联接的命令。经由这个命令，操作员可以强制一个新的装置15，即尚未联接并且位于阀门14上的装置，读取并存储阀门14本身的UID代码。从那一刻起，阻挡装置15只有在它被定位在它所联接的阀门时才接受命令。即使可以经由保留给例如制造商或维修人员的代码实施可以在终端12中访问的用于取消联接的命令，第一联接的过程可以由操作员终端12在每个新装置15上仅执行一次。

在变型实施方案中，本文所述的解决方案还涉及一种阻止未经授权进入燃料气罐的阀门的系统，该阀门能够执行罐11的填充操作并且与由致动器装置20致动的至少在关闭位置和打开位置之间的阻挡装置15连接，所述致动器装置利用电磁能来操作，所述系统包括被配置用于控制前述致动器装置20的无线终端12，其中：

无线终端12包括用于发送充电信号WD的装置65，该充电信号包括数据信号部分D和供电部分W，该供电部分承载经由电磁感应的能量，特别是WPC(无线充电联盟)信号；

阻挡装置15被配置用于从充电信号WD的供电部分W接收能量以操作上述致动器装置20；并且

阻挡装置15还包括控制装置70，该控制装置根据与无线终端12的对应控制装置60交换的充电信号WD的数据信号部分D来启用致动器装置20的操作。

所述的系统呈现了下文中概述的优点。

通常，根据本发明的接入系统设想经由该阀门上的阻挡装置防止未经授权的人员(因而工作人员无法消除该阻挡)能够对气罐进行加油，或防止恶意人员从气罐中取出气体或篡改气罐。这是利用一种阻挡装置来实现的，该阻挡装置没有内部能量源，因此可以为潜在爆炸性环境(ATEX 0)设计一种完全密封的装置。用于确认操作员授权和用于供应阻挡/释放机电设备所需的能量以无线模式从通信终端到达，该通信终端是由操作员用于阻挡或释放阻挡装置的具有自主电源的便携式设备。终端的控制模块由内置可充电电池供电。由于终端的控制模块是为潜在的爆炸性环境(ATEX0)设计的完全密封的单元，所以电池的再充电是经由电池充电器以无线模式进行，终端在所述电池充电器上与其接触，从而能够再充电。

此外，有利的是，只有在终端中启用并因此能够通过阻挡装置所需的密码检查的控制模块才能阻挡/释放后者。

此外，终端的控制模块有利地追踪所执行的阻挡/释放操作以及补充数据(日期、时间、地理位置、操作员代码)并且将该信息(经由3G)直接传输到管理气体加注的公司服务器上。

当然，在不损害本发明的原理的情况下，细节和实施方案可以相对于本文纯粹以举例的方式描述的内容而变化甚至有相当大的变化，而不会因此偏离保护范围，该范围由所附的权利要求限定。

本发明的接入系统涉及用于燃料气的罐，所述燃料气以气体形式用于燃烧，但是当然地，在罐中，上述气体可以主要以液体形式储存。

根据本发明的通信终端被设置为与阻挡装置接触，其中所谓的“接触”被理解为能够正确地发送和接收充电信号(特别是WPC信号)的距离。

Claims (14)

1.一种保护以防止未经授权进入燃料气罐的阀门的系统，所述系统包括：

阀门(14)，所述阀门被配置用于能够执行填充所述罐(11)的操作；和

阻挡装置(15)，所述阻挡装置与所述阀门(14)协作以用于阻挡在关闭位置和打开位置之间进入所述阀门(14)；

所述阻挡装置(15)通过供应有电能的致动器装置(20)在所述关闭位置和所述打开位置之间被操作，所述系统包括被配置用于控制所述致动器装置(20)的无线终端(12)，

其特征在于：

所述无线终端(12)包括用于发送充电信号(WD)的装置(65)，所述充电信号包括数据信号部分(D)和供电部分(W)，所述供电部分承载经由电磁感应的能量，特别是WPC(无线充电联盟)信号；

所述阻挡装置(15)被配置用于从所述充电信号(WD)的所述供电部分(W)接收电能以便操作所述致动器装置(20)，

所述阻挡装置(15)还包括控制装置(70)，所述控制装置根据与所述无线终端(12)的对应控制装置(60)交换的所述充电信号(WD)的数据信号部分(D)启用所述致动器装置(20)的操作。

2.根据权利要求1所述的接入系统，其特征在于，所述终端(12)的所述控制装置(60)和所述阻挡装置(15)的控制装置(70)包括相应的用于执行以下步骤的模块(67,76)：对所述终端(12)的所述控制模块(60)的授权进行密码检查(260)以对包括在所述充电信号(WD)的所述数据信号部分(D)中的所述阻挡装置(15)操作。

3.根据权利要求1或权利要求2所述的系统，其特征在于，所述阻挡装置(15)包括：用于接收由所述终端(12)发送的所述充电信号(WD)的充电信号接收器(71)，和用于转换由所述接收器接收的能量(W)以用于供给所述阻挡装置(15)的所述控制模块(70)并供给所述致动器装置(20)的供电单元(72)。

4.根据前述权利要求中任一项所述的系统，其特征在于，所述终端(12)经由电池(63)被供电并且被配置用于经由外部电池充电器模块(50)所发送的另外的充电信号(R)对所述电池(63)充电。

5.根据前述权利要求中任一项所述的系统，其特征在于，所述阻挡装置包括主体(151)，所述主体包括与所述阀门(14)连接的阻挡部分(153)和用于容纳所述致动器装置(20)的容纳部分(152)，所述致动器装置(20)相对于所述阻挡部分(153)以流体密封方式在所述主体(151)中操作。

6.根据前述权利要求中任一项所述的系统，其特征在于，所述阻挡装置(15)包括阻挡部分(153)，阀门(14)的入口部分(141)被插入所述阻挡部分中，并且所述致动器装置(20)被配置成用于在阻挡位置将销(21)施加在被插入所述阻挡部分中的所述入口部分(141)的阻挡座中。

7.根据前述权利要求中任一项所述的系统，其特征在于，所述阻挡装置(15)包括：用于检测所述致动器(20)的位置的传感器装置，和用于检测所述阀门(14)的位置的传感器装置，此外所述阻挡装置(15)的所述控制模块(70)包括被配置用于比较所述传感器装置(31,20a)的信息的模块。

8.根据前述权利要求中任一项所述的系统，其特征在于，所述阻挡装置(15)包括RFID标签读取装置(131,132)，所述阀门(14)包括含有给定识别码的RFID标签(133)，并且所述阻挡装置(15)的所述控制模块(70)被配置用于仅对与在所述阀门(14)上检测到的所述RFID标签(133)相关联的给定识别码执行阻挡或释放。

9.一种用于经由根据权利要求1至8中任一项所述的系统进入燃料气罐的阀门的方法，其特征在于，所述方法包括以下操作：将所述终端(12)施加成与所述阻挡装置(15)接触，向所述阻挡装置(12)提供包括供电部分(W)的充电信号(WD)，以及经由所述数据信号部分(D)与所述阻挡装置(15)交换命令序列，所述序列包括用于阻挡或释放所述阻挡装置(15)的命令(SB)。

10.根据权利要求8所述的方法，其特征在于，所述命令序列包括授权所述终端(12)的所述控制模块(60)对所述阻挡装置(15)操作。

11.根据权利要求9或权利要求10所述的方法，其特征在于，所述终端(12)的所述控制模块(60)和所述阻挡装置(15)的所述控制模块(70)执行以下操作：

通过在所述终端(12)中输入有效的激活码(A)，在所述终端(12)中激活(210)所述阀门的阻挡/释放的操作或模式；

所述终端(12)进入(230)所述阻挡装置(15)的所述阻挡/释放模式，所述模式在足以进行气体加注的给定时间内有效；

经由所述终端(12)向所述阻挡装置(15)发送(240)释放或阻挡命令(SB)；

由所述阻挡装置(15)检测(250)所述终端(12)所发送的所述数据部分(D)中的所述释放/阻挡命令(SB)；

执行对所述终端(12)的授权的确认(260)；以及

在所述确认(260)的结果为肯定的情况下，由所述阻挡装置(15)接受并执行(270)。

12.根据权利要求11所述的方法，其特征在于，对所述终端(12)的授权的所述确认(260)包括以下步骤：

从所述阻挡装置(15)向所述终端(12)发送(262)加密密钥(K)的值，特别是使用AES(高级加密标准)或SHA-256(安全散列算法)编码；

从所述阻挡装置(15)以明文(CK)发送(264)数值，所述数值标识所使用的密钥的类型；以及

在所述终端(12)处解码(266)所接收的加密密钥(K)的所述值，并且作为响应，向所述阻挡装置(15)发送对应的解码密钥(KD)。

13.根据权利要求11或权利要求12所述的方法，其特征在于，所述方法还包括由所述终端(12)确认(12)加油油罐车(11)的存在的步骤。

14.一种阻挡装置，所述阻挡装置被配置用于在根据权利要求1至8中任一项所述的系统中进行操作。